生成Linux实例自定义数据

在Linux实例中，您可以通过多种脚本配置实例自定义数据，包括User-Data脚本、Cloud Config脚本、Include文件、Gzip压缩脚本、 Upstart Job脚本等。Linux实例自定义数据功能采用开源的cloud-init架构，以实例元数据为数据来源，自动化配置Linux实例属性。

如果您制作的是Include文件或Gzip压缩脚本，需要上传脚本文件到可用的存储服务中并获取链接，并设置链接有效期为您的期望值。推荐您使用阿里云对象存储OSS制作链接。

生成Linux实例自定义数据的操作步骤如下：

1. 使用编辑器（例如，Notepad++）创建文本文件。
2. 在文本文件中编辑实例自定义数据的相关脚本。
   脚本第一行必须满足脚本类型的格式要求。不同脚本的格式要求以及示例如下：

   • User-Data脚本
     User-Data可以是一个Shell脚本。具有以下特点：

     • 首行固定为#!，例如#!/bin/sh。
     • 在Base64编码前脚本内容不能超过16 KB。
     • 仅在首次启动实例时执行一次。
     User-Data脚本示例如下：

     #!/bin/sh
     echo "Hello World. The time is now $(date -R)!" | tee /root/output10.txt
     service httpd start
     chkconfig httpd on

     实例创建完成后，启动并连接实例，执行命令cat [file]，查看脚本的执行结果。

     [root@XXXXX2z ~]# cat output10.txt
     Hello World. The time is now Mon, 24 Jul 2017 13:03:19 +0800!

   • Cloud Config脚本
     Cloud Config脚本是实现实例自定义数据最简单的方式，其交互方式非常友善。您可以使用Cloud Config脚本预先配置实例的部分服务，如更新yum源、导入SSH密钥、安装依赖包等。具有以下特点：

     • 首行固定为#cloud-config，且页首不能有空格。
     • 需要以YAML文件的方式呈现。
     • 在Base64编码前脚本内容不能超过16 KB。
     • 根据您配置的服务不同，实例自定义数据的运行频率也会不同。
     Cloud Config脚本示例如下：

     #cloud-config
     apt:
     primary:
     - arches: [default]
     uri: http://us.archive.ubuntu.com/ubuntu/
     bootcmd:
     - echo 192.168.1.130 us.archive.ubuntu.com >> /etc/hosts

     实例创建完成后，启动并连接实例，查看运行结果。
   • Include文件
     Include文件的内容由脚本链接组成，一行一个链接。实例启动时，cloud-init读取Include文件中脚本链接里的内容，一旦在某一行读取脚本内容时出错，实例停止读取自定义数据。具有以下特点：

     • Include文件首行固定为#include且页首不能有空格。
     • Include文件中脚本链接包含的内容在Base64编码前脚本内容不能超过16 KB。
     • 实例自定义数据的运行频率跟随Include文件中配置的脚本类型。
     Include文件示例如下：

     #include
     http://ecs-image-test.oss-cn-hangzhou.aliyuncs.com/UserData/myscript.sh

     实例创建完成后，启动并连接实例，查看执行结果。

   • Gzip压缩脚本
     使用User-Data脚本、Cloud Config脚本和Include文件时，均要求在Base64编码前脚本内容不能超过16 KB。若您的脚本内容有超出16 KB的趋势，可以采用Gzip压缩脚本。将脚本文件压缩后制作成脚本链接，以Include文件的形式呈现。具有以下特点：

     • Gzip压缩脚本首行固定为#include，且页首不能有空格。
     • 实例自定义数据的运行频率跟随脚本类型。
     Gzip压缩脚本示例如下：

     #include
     http://ecs-image-test.oss-cn-hangzhou.aliyuncs.com/userdata/config.gz

     如果您制作的是Gzip压缩脚本文件，您需要压缩脚本文件为.gz格式。

   • Upstart Job
     使用Upstart Job脚本时，您需要为实例安装upstart作为init system，目前采用upstart的操作系统有CentOS 6、Ubuntu 10/12/14以及Debian 6/7。Upstart Job脚本将您的实例自定义数据放到/etc/init目录下。具有以下特点：

     • Upstart Job脚本首行固定为#upstart-job，且页首不能有空格。
     • 每次启动实例均会执行您的实例自定义数据。
     Upstart Job脚本示例如下：

     #upstart-job
     description "upstart test"
     start on runlevel [2345]
     stop on runlevel [!2345]
     exec echo "Hello World. The time is now $(date -R)!" | tee /root/output.txt

3. 调试脚本文件以确认内容正确。

生成Windows实例自定义数据

Windows实例自定义数据由ECS自主研发，为Windows实例提供运行初始化脚本的能力。Windows实例自定义数据支持Bat批处理程序和PowerShell脚本。

生成Windows实例自定义数据的操作步骤如下：

1. 使用编辑器（例如，Notepad++）创建文本文件。
2. 在文本文件中编辑实例自定义数据的相关脚本。
   脚本第一行必须满足脚本类型的格式要求。不同脚本的格式要求以及示例如下：

   • Bat批处理程序具有以下特点：
     • 首行固定为[bat]，且页首不能有空格。
     • 在Base64编码前，自定义数据内容必须小于16 KB。
     • 只能输入半角字符，不能有多余字符。
     Bat批处理程序示例如下：

     [bat]
     echo "bat test" > c:\1.txt

     实例创建完成后，连接实例查看执行结果，在C:\盘添加了1.txt文本文件。
   • PowerShell具有以下特点：
     • 首行固定为[powershell]，且页首不能有空格。
     • 在Base64编码前，自定义数据内容必须小于16 KB。
     • 只能输入半角字符，不能有多余字符。
     PowerShell示例如下：

     [powershell]
     write-output "Powershell Test" | Out-File C:\2.txt

3. 调试脚本文件以确认内容正确。

使用实例标识

使用实例标识需要OpenSSL支持，如果您没有配置OpenSSL服务，请前往OpenSSL官网下载并安装OpenSSL服务。此处以CentOS 7.4为例，示范如何使用实例标识。

1. 远程连接Linux实例。
2. 运行以下命令获取实例标识文档。
   curl http://100.100.100.200/latest/dynamic/instance-identity/document

3. 选择一种方式获取实例标识签名。
   • 不传入audience参数：
     curl http://100.100.100.200/latest/dynamic/instance-identity/pkcs7

   • 传入audience参数：
     curl http://100.100.100.200/latest/dynamic/instance-identity/pkcs7?audience=XXXX

   
4. 使用OpenSSL认证实例标识。
   openssl smime -verify -in $signature -inform PEM -content $DOCUMENT -certfile AliyunPubkey -noverify > /dev/null

   命令中参数作用如下：

   • $signature处填入您获取的标识签名。
   • $DOCUMENT处填入您获取的标识文档。

     （可选）如果您在第三步传入了audience参数，您需要手动将信息附加到实例标识文档末尾处，格式为"audience":"audience参数取值"，参数之间使用半角逗号（,）连接。

   • AliyunPubkey处填入阿里云公有证书。

   以下为阿里云公有证书：

   -----BEGIN CERTIFICATE-----
   MIIDdzCCAl+gAwIBAgIEZmbRhzANBgkqhkiG9w0BAQsFADBsMRAwDgYDVQQGEwdV
   bmtub3duMRAwDgYDVQQIEwdVbmtub3duMRAwDgYDVQQHEwdVbmtub3duMRAwDgYD
   VQQKEwdVbmtub3duMRAwDgYDVQQLEwdVbmtub3duMRAwDgYDVQQDEwdVbmtub3du
   MB4XDTE4MDIyMzAxMjkzOFoXDTM4MDIxODAxMjkzOFowbDEQMA4GA1UEBhMHVW5r
   bm93bjEQMA4GA1UECBMHVW5rbm93bjEQMA4GA1UEBxMHVW5rbm93bjEQMA4GA1UE
   ChMHVW5rbm93bjEQMA4GA1UECxMHVW5rbm93bjEQMA4GA1UEAxMHVW5rbm93bjCC
   ASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBAIJwy5sbZDiNyX4mvdP32pqM
   YMK4k7+5lRnVR2Fky/5uwyGSPbddNXaXzwEm+u4wIsJiaAN3OZgJpYIoCGik+9lG
   5gVAIr0+/3rZ61IbeVE+vDenDd8g/m/YIdYBfC2IbzgS9EVGAf/gJdtDODXrDfQj
   Fk2rQsvpftVOUs3Vpl9O+jeCQLoRbZYm0c5v7jP/L2lK0MjhiywPF2kpDeisMtnD
   /ArkSPIlg1qVYm3F19v3pa6ZioM2hnwXg5DibYlgVvsIBGhvYqdQ1KosNVcVGGQa
   HCUuVGdS7vHJYp3byH0vQYYygzxUJT2TqvK7pD57eYMN5drc7e19oyRQvbPQ3kkC
   AwEAAaMhMB8wHQYDVR0OBBYEFAwwrnHlRgFvPGo+UD5zS1xAkC91MA0GCSqGSIb3
   DQEBCwUAA4IBAQBBLhDRgezd/OOppuYEVNB9+XiJ9dNmcuHUhjNTnjiKQWVk/YDA
   v+T2V3t9yl8L8o61tRIVKQ++lDhjlVmur/mbBN25/UNRpJllfpUH6oOaqvQAze4a
   nRgyTnBwVBZkdJ0d1sivL9NZ4pKelJF3Ylw6rp0YMqV+cwkt/vRtzRJ31ZEeBhs7
   vKh7F6BiGCHL5ZAwEUYe8O3akQwjgrMUcfuiFs4/sAeDMnmgN6Uq8DFEBXDpAxVN
   sV/6Hockdfinx85RV2AUwJGfClcVcu4hMhOvKROpcH27xu9bBIeMuY0vvzP2VyOm
   DoJeqU7qZjyCaUBkPimsz/1eRod6d4P5qxTj
   -----END CERTIFICATE-----

示例一：不传入audience参数

以在云市场上架一份镜像为例，示范如何从应用软件卖家角度使用实例标识。

1. 进入ECS实例环境。
2. 确认当前ECS实例使用的镜像是否来自于镜像市场。

   具体可以通过Metadata中的product-code项（镜像市场镜像的商品码）和charge-type项（镜像市场镜像的计费方式）。

   curl http://100.100.100.200/latest/meta-data/image/market-place/product-code
   curl http://100.100.100.200/latest/meta-data/image/market-place/charge-type

3. 在当前工作目录下创建临时文件cert.cer，并保存阿里云公有证书到该文件中。
4. 辨别实例身份。
   示例脚本如下：

   #!/usr/bin/bash
   function verify_signature_without_audience(){
   curl 100.100.100.200/latest/dynamic/instance-identity/document > document
   echo "-----BEGIN CERTIFICATE-----" > signature
   curl 100.100.100.200/latest/dynamic/instance-identity/pkcs7 >> signature
   echo "" >> signature
   echo "-----END CERTIFICATE-----" >> signature
   openssl smime -verify -in signature -inform PEM -content document -certfile cert.cer -noverify > /dev/null
   }
   verify_signature_without_audience

5. 若标识返回结果为Verification successful，则放开应用软件的权限控制。

示例二：传入audience参数

同样以在云市场上架一份镜像为例，示范如何从应用软件卖家角度使用实例标识。结合您自定义的audience参数，并在放开权限控制之前，通过应用端Server实现策略控制，防止授权码（License）被非法使用。您的audience参数取值可以是随机字符串、时间戳、规律性变化的信息或者根据您的算法所生成的数据。

1. 进入ECS实例环境。
2. 确认当前ECS实例使用的镜像是否来自于镜像市场。

   具体可以通过Metadata中的product-code项（镜像市场镜像的商品码）和charge-type项（镜像市场镜像的计费方式）。

   curl http://100.100.100.200/latest/meta-data/image/market-place/product-code
   curl http://100.100.100.200/latest/meta-data/image/market-place/charge-type

3. 在当前工作目录下创建临时文件cert.cer，并保存阿里云公有证书到该文件中。
4. 辨别实例身份。
   示例脚本如下：

   #!/usr/bin/bash
   function verify_signature_with_specified_audience(){
   audience=‘your audience’ #此处填入您的audience取值
   document=$(curl 100.100.100.200/latest/dynamic/instance-identity/document)
   audience_json=',"audience":''"'${audience}'"}'
   echo -n ${document%?}${audience_json} > document
   echo "-----BEGIN CERTIFICATE-----" > signature
   curl 100.100.100.200/latest/dynamic/instance-identity/pkcs7?audience=${audience} >> signature
   echo "" >> signature
   echo "-----END CERTIFICATE-----" >> signature
   openssl smime -verify -in signature -inform PEM -content document -certfile cert.cer -noverify > /dev/null
   }
   verify_signature_with_specified_audience

5. 若标识返回结果为Verification successful，则放开应用软件的权限控制。